Personuppgiftsbiträdesavtal

Version 1.2, gäller från 31 oktober 2026.

Parter

1. Den organisation som använder oQuiz för företag och vars administratör godkänner detta avtal i tjänsten, eller som undertecknar det ("Kunden"), personuppgiftsansvarig, och
2. House of Buttons AB, org.nr 559607-0911, Nina Einhorns gata 7, 113 66 Stockholm ("oQuiz"), personuppgiftsbiträde.

1. Bakgrund och syfte

1.1 Kunden använder oQuiz för företag enligt oQuiz användarvillkor på oquiz.app/tos, med licenser per person och år ("Huvudavtalet"). När oQuiz utför tjänsterna enligt Huvudavtalet behandlar oQuiz personuppgifter för Kundens räkning.

1.2 Detta avtal ("Biträdesavtalet") reglerar den behandlingen enligt artikel 28 i dataskyddsförordningen (EU) 2016/679 ("GDPR"). Vid motstrid mellan Biträdesavtalet och Huvudavtalet i fråga om personuppgifter gäller Biträdesavtalet.

1.3 Biträdesavtalet ingås när en administratör i Kundens organisation godkänner det i oQuiz, eller när parterna undertecknar det. oQuiz sparar vem som godkände, när och vilken version.

1.4 Begrepp som personuppgift, behandling, personuppgiftsansvarig, personuppgiftsbiträde, registrerad och personuppgiftsincident har samma betydelse som i GDPR.

1.5 Biträdesavtalet finns på engelska och svenska. Skiljer versionerna sig åt gäller den engelska.

2. Roller och vad avtalet omfattar

2.1 Kunden är personuppgiftsansvarig för de personuppgifter som behandlas i Kundens organisation i oQuiz: organisationens konton, quiz, skyltar, kommentarer, spel som organisationens värdar leder, sparade spel och rapporter, varumärke, utbildningar och kurser med deltagare, svar och intyg, formulär och självskattningar med mottagare och svar, kopplade källor och mottagarlistor, och AI-genereringar som görs från organisationens konton ("Kundens personuppgifter"). oQuiz är personuppgiftsbiträde för dem.

2.2 oQuiz är självständigt personuppgiftsansvarig, och Biträdesavtalet gäller inte, för (a) produktstatistik som oQuiz samlar in efter användarens eget samtycke i appen, i panelen på join.oquiz.app eller på oquiz.app, (b) fakturering, köp, kundrelationen och kontakten med Kundens kontaktpersoner, (c) säkerhetsloggar och skydd mot missbruk i den mån oQuiz bestämmer ändamålet, (d) privatpersoners användning av oQuiz utanför Kundens organisation, och (e) den aggregerade och anonymiserade statistik som Huvudavtalets punkt 11.5 beskriver, inklusive själva anonymiseringen.

2.3 Behandlingens art, ändamål, kategorier av personuppgifter och registrerade står i Bilaga 1.

3. Kundens instruktioner

3.1 oQuiz behandlar Kundens personuppgifter endast enligt Kundens dokumenterade instruktioner. Huvudavtalet, Biträdesavtalet och de val Kundens administratörer och användare gör i tjänsten (till exempel att bjuda in, dela, spara, radera, skicka ett formulär, koppla en källa eller en integration, eller be AI:n skriva ett quiz) utgör Kundens fullständiga instruktioner. Ytterligare instruktioner ska lämnas skriftligen. Kunden låter också oQuiz använda Kundens personuppgifter till den aggregerade statistiken enligt Huvudavtalets punkt 11.5 (Aggregerad statistik), som oQuiz är självständigt ansvarig för (2.2 e).

3.2 oQuiz får behandla Kundens personuppgifter utan instruktion om det krävs enligt unionsrätten eller svensk rätt. oQuiz informerar då Kunden innan behandlingen påbörjas, om inte lagen förbjuder det.

3.3 oQuiz informerar Kunden omedelbart om oQuiz anser att en instruktion strider mot GDPR eller annan dataskyddslagstiftning.

3.4 oQuiz använder inte Kundens personuppgifter för egna ändamål utöver statistiken i 2.2 e, säljer dem inte, använder dem inte för reklam och tränar inte AI-modeller på dem eller låter underbiträden göra det. Statistiken bygger på svar, resultat, tider, frågornas id och beslut om AI-förslag, aldrig på quizens text, fritext eller namn. Ett värde som jämför organisationer bygger på minst fem organisationer och hundra svar, med minst tio från varje. Kunden kan välja bort jämförelsetalen i inställningarna; resten av statistiken är en del av tjänsten.

4. Sekretess

4.1 oQuiz säkerställer att varje person som har behörighet att behandla Kundens personuppgifter har förbundit sig skriftligen att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt.

4.2 oQuiz lämnar inte ut Kundens personuppgifter till tredje man utom till underbiträden enligt avsnitt 6, till tjänster som Kunden själv kopplar in (Bilaga 2, sista tabellen), eller när lag eller beslut av myndighet kräver det. Begär en myndighet ut Kundens personuppgifter hänvisar oQuiz i första hand myndigheten till Kunden och underrättar Kunden, om det är tillåtet.

5. Säkerhet

5.1 oQuiz vidtar de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 GDPR. Åtgärderna står i Bilaga 3.

5.2 oQuiz får ändra åtgärderna så länge skyddsnivån inte sänks. Väsentliga ändringar meddelas Kunden.

6. Underbiträden

6.1 Kunden lämnar genom Biträdesavtalet ett allmänt skriftligt förhandstillstånd till att oQuiz anlitar underbiträden. De underbiträden som anlitas när Biträdesavtalet ingås står i Bilaga 2. Den gällande förteckningen finns alltid i Bilaga 2 på oquiz.app/dpa.

6.2 oQuiz underrättar Kunden skriftligen, via e-post till Kundens administratörer och genom en uppdaterad Bilaga 2 på oquiz.app/dpa, minst 30 dagar innan ett nytt underbiträde anlitas eller ett befintligt byts ut.

6.3 Kunden får invända mot ändringen på sakliga grunder inom 30 dagar från underrättelsen. Parterna ska då i god tro söka en lösning. Kan ingen lösning nås får Kunden säga upp den berörda delen av Huvudavtalet till upphörande när ändringen träder i kraft, och få tillbaka förskottsbetald avgift för tiden därefter.

6.4 oQuiz ingår skriftligt avtal med varje underbiträde som ålägger det motsvarande skyldigheter som enligt Biträdesavtalet. oQuiz ansvarar gentemot Kunden för underbiträdets fullgörande.

6.5 Tjänster som Kunden själv kopplar till oQuiz (till exempel Slack, Microsoft 365, Atlassian, Google Workspace eller en lärplattform) är inte oQuiz underbiträden. Kunden har sitt eget avtal med dem, och oQuiz skickar och hämtar uppgifter där bara enligt Kundens val i tjänsten.

7. Överföring till tredje land

7.1 Kundens personuppgifter lagras i EU (se Bilaga 1 och 2). Vissa underbiträden har säte i USA eller behandlar uppgifter där, och trafiken går genom Cloudflares globala nät.

7.2 oQuiz överför Kundens personuppgifter till ett land utanför EU/EES endast om överföringen stöds av ett beslut om adekvat skyddsnivå enligt artikel 45 GDPR, inklusive EU–US Data Privacy Framework för certifierade mottagare, eller av lämpliga skyddsåtgärder enligt artikel 46, i första hand EU-kommissionens standardavtalsklausuler (beslut (EU) 2021/914), tillsammans med de kompletterande åtgärder som behövs.

7.3 På Kundens begäran lämnar oQuiz en kopia av, eller en hänvisning till, den överföringsmekanism som gäller för varje underbiträde.

8. Hjälp till Kunden

8.1 De registrerades rättigheter. oQuiz hjälper Kunden, med hänsyn till behandlingens art, att besvara begäranden från registrerade enligt kapitel III GDPR (tillgång, rättelse, radering, begränsning, dataportabilitet och invändning). En stor del görs av Kunden själv i tjänsten: konton, quiz, deltagare, mottagare och svar kan ändras och raderas, och ett raderat konto tar bort kontots quiz, sparade spel, AI-poster och varumärke. Kommer en begäran direkt till oQuiz vidarebefordrar oQuiz den till Kunden utan onödigt dröjsmål och besvarar den inte själv, om inte Kunden instruerat det.

8.2 Artiklarna 32–36. oQuiz hjälper Kunden att fullgöra skyldigheterna om säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömning och förhandssamråd, med hänsyn till behandlingens art och den information oQuiz har.

8.3 Hjälp som går utöver det tjänsten erbjuder, eller utöver rimlig omfattning, får debiteras enligt oQuiz vid var tid gällande timpris, efter att Kunden godkänt kostnaden i förväg. Hjälp som behövs på grund av oQuiz brott mot Biträdesavtalet debiteras aldrig.

9. Personuppgiftsincidenter

9.1 oQuiz underrättar Kunden utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som rör Kundens personuppgifter, med målet att göra det inom 48 timmar.

9.2 Underrättelsen ska, i den mån uppgifterna finns, beskriva incidentens art, kategorier och ungefärligt antal registrerade och poster, sannolika konsekvenser, vidtagna och föreslagna åtgärder och en kontaktperson. Uppgifter som inte finns vid första underrättelsen lämnas så snart de finns.

9.3 oQuiz dokumenterar varje incident och vidtar rimliga åtgärder för att begränsa skadan. Det är Kunden som beslutar om anmälan till Integritetsskyddsmyndigheten och om information till de registrerade.

10. Granskning och information

10.1 oQuiz ger Kunden tillgång till all information som behövs för att visa att skyldigheterna i artikel 28 GDPR fullgörs.

10.2 Kunden har rätt att genomföra, eller låta en oberoende granskare som är bunden av tystnadsplikt genomföra, granskningar och inspektioner. Kunden meddelar oQuiz minst 30 dagar i förväg, och granskningen genomförs under kontorstid, högst en gång per år om inte en incident, en myndighet eller särskilda skäl motiverar mer. Varje part står sina egna kostnader.

10.3 oQuiz får i första hand uppfylla granskningsrätten med skriftliga svar, Bilaga 3 och underbiträdenas egna revisionsrapporter. oQuiz har i dag ingen egen oberoende revisionsrapport.

11. När avtalet upphör och radering

11.1 När Huvudavtalet upphör, det vill säga när organisationens licenser slutat gälla utan att förnyas, kan Kunden under 90 dagar ta ut sina uppgifter med exporterna i tjänsten: quiz som CSV, spelrapporter som PDF och CSV, utbildningars och kursers resultat som CSV, intyg som PDF och formulärens svar som CSV. På begäran lämnar oQuiz utan kostnad ut organisationens uppgifter i ett maskinläsbart format inom 30 dagar. Därefter raderar oQuiz Kundens personuppgifter, om inte unionsrätten eller svensk rätt kräver att de sparas. Tar Kunden bort organisationen raderar oQuiz Kundens personuppgifter direkt.

11.2 Under avtalstiden gäller också:

• en deltagares namn och e-postadress tas bort i organisationens alla utbildningstillfällen, kurser och formulär två år efter deltagarens senaste försök, repetition eller inbjudan; intyget raderas och svaren sparas utan namn;
• svar på ett publikt formulär raderas efter det antal dagar Kunden valt för formuläret (1–365, förvalt 365), räknat från när svaret påbörjades.

11.3 Kopior i underbiträdenas säkerhetskopior raderas enligt deras rutiner; databasens återställningspunkter i Cloudflare D1 (Time Travel) finns kvar i högst 30 dagar. oQuiz bekräftar raderingen skriftligen på begäran.

12. Ansvar

12.1 Vardera parten ansvarar för skada enligt artikel 82 GDPR. En part som har betalat ersättning till en registrerad har rätt att kräva den andra parten på den del som motsvarar dennes ansvar.

12.2 I övrigt är oQuiz sammanlagda ansvar enligt Biträdesavtalet och Huvudavtalet begränsat till det Kunden betalat för licenser under de tolv månader som föregick skadan. Sanktionsavgifter som en tillsynsmyndighet beslutat mot en part bärs av den parten.

13. Giltighetstid

Biträdesavtalet gäller så länge oQuiz behandlar Kundens personuppgifter, och upphör därefter utan uppsägning. Avsnitt 4, 11 och 12 gäller även efter att avtalet upphört.

14. Ändringar

14.1 oQuiz får ändra Biträdesavtalet när dataskyddslagstiftningen, kommissionens standardavtalsklausuler eller tjänsten ändras. En ändring meddelas Kundens administratörer minst 30 dagar innan den börjar gälla och publiceras med nytt versionsnummer på oquiz.app/dpa. En ändring får inte sänka skyddet för Kundens personuppgifter.

14.2 Godtar Kunden inte ändringen får Kunden säga upp Huvudavtalet till den dag ändringen börjar gälla och få tillbaka förskottsbetald avgift för tiden därefter. Ändringar av underbiträden följer avsnitt 6.

14.3 Ett undertecknat avtal ändras bara skriftligen av båda parter.

15. Tillämplig lag och tvister

Svensk lag gäller för Biträdesavtalet. Tvister avgörs av allmän domstol med Stockholms tingsrätt som första instans.

Underskrifter (när avtalet undertecknas i stället för att godkännas i tjänsten)

Bilaga 1: Behandlingens art

Kategorier av registrerade

• Kundens användare med konto: värdar, utbildare, de som skriver quiz och administratörer i organisationen.
• Deltagare i spel som organisationens värdar leder (de behöver inget konto).
• Mottagare av Kundens utbildningar, kurser, formulär och självskattningar, till exempel anställda, och medlemmar i grupper som Kunden hämtar mottagare ur.
• Personer som svarar på Kundens publika formulär, till exempel besökare på Kundens webbplats.
• Personer som nämns eller syns i quizets innehåll (till exempel på foton, i inspelningar, i frågetext eller i inklistrad text till AI:n).

Kategorier av personuppgifter

Inga särskilda kategorier av personuppgifter (artikel 9) eller uppgifter om lagöverträdelser (artikel 10) behövs för tjänsten. Kunden ansvarar för att användarna inte lägger in sådana uppgifter i quiz, kommentarer, inklistrad text eller formulärens frågor, och för att ett formulär inte frågar efter dem.

Publika formulär. Kunden ansvarar för att det finns en rättslig grund för formuläret, för att informera de svarande (formuläret visar den ansvarige och länken till Kundens integritetspolicy) och för vilka dolda fält som läggs i länken. Publikt läge kräver att en administratör har godkänt Biträdesavtalet.

Lagringstid i tjänsten: så länge Kunden låter uppgifterna ligga kvar, med de kortare tider som står i tabellen och i avsnitt 11.2, och längst enligt avsnitt 11.1.

Bilaga 2: Underbiträden

Läget den 28 oktober 2026.

Tjänster som inte är underbiträden (oQuiz lämnar inte Kundens personuppgifter till dem för oQuiz räkning), men som Kunden bör känna till:

Tjänster Kunden själv kopplar in (avsnitt 6.5): Slack, Microsoft 365 (SharePoint, OneDrive, Entra ID, Teams), Atlassian Confluence, Notion, Google Workspace (Drive, grupper, Chat) och Kundens lärplattform. oQuiz hämtar och skickar uppgifter där bara när Kunden kopplat in tjänsten, och Kunden kan koppla bort den.

Bilaga 3: Tekniska och organisatoriska säkerhetsåtgärder

Det som gäller i dag

Kryptering och nätverk

• All trafik till join.oquiz.app och oquiz.app går över HTTPS med TLS som Cloudflare terminerar. Sessionskakan oq_session är HttpOnly, Secure och SameSite=Lax, och gäller i 30 dagar.
• Lagring i D1, R2 och Durable Objects krypteras i vila av Cloudflare.
• Nycklar till Kundens kopplade tjänster (Microsoft, Atlassian, Google, Slack) lagras krypterade i databasen.

Identitet och åtkomst

• Inloggning endast via Apple, Google, Microsoft eller Kundens egen inloggning (SAML eller OIDC), och konton kan hanteras med SCIM. oQuiz har inga lösenord.
• Sessionstoken, enhetskoder och personliga länkar lagras bara som SHA-256-hashar; en identitetstoken från Apple kan användas en gång.
• Värdens nyckel till ett spel lagras bara som hash.
• Granskningsverktyget (/granska, /v1/review) ligger bakom Cloudflare Access, och servern kontrollerar dessutom själv Access-token (RS256, rätt aud).
• Hemligheter (API-nycklar, OAuth-hemligheter) ligger som krypterade hemligheter i Cloudflare, aldrig i koden.
• Behörighet i quiz och organisationen styrs av roller (ägare, redaktör, administratör) och kontrolleras i servern, inte i klienten.

Dataminimering

• Foton omkodas och inspelningar byggs om i servern, vilket tar bort inbäddad metadata som plats; storleken begränsas.
• Inklistrad text till AI:n och källornas text sparas inte i databasen eller loggen.
• IP-adresser lagras inte; för hastighetsgränser används en hash, bara i minnet.
• Formulärens svar från personliga utskick visas bara som summor för minst fem personer.
• Poster om spellänkar raderas inom tre dagar; spelets data en timme efter att koden slutat gälla (högst 48 timmar). Deltagares namn i utbildningar och formulär tas bort efter två år, och publika formulärsvar efter Kundens valda tid.

Skydd mot missbruk

• Hastighetsgränser i Cloudflare för spel, sexsiffriga koder, köp och formulär, ett dygnstak för svar på publika formulär, och Cloudflare Turnstile för publika formulär på oquiz.app.
• AI-kvot per konto, villkorad insättning mot samtidiga anrop och ett dygnstak för kostnaden.

Utveckling och drift

• Automatiska tester för servern (omkring 140 testfiler), webben (omkring 100) och appen. Formulärens integritetstester körs automatiskt före varje publicering av servern; övriga tester körs för hand före publicering.
• Varje publicering är en Cloudflare-version som kan rullas tillbaka; databasmigreringar är versionerade i git.
• Tredjepartsskript laddas inte från andra ursprung, med undantag för Cloudflare Turnstile i publika formulär; webbsidorna har en innehållssäkerhetspolicy (CSP).

Organisation

• En person (grundaren) har åtkomst till produktionsmiljön och har undertecknat ett sekretessåtagande.
• Tvåfaktorsinloggning på de administrativa kontona hos Cloudflare, GitHub, Apple, Google och Anthropic.

Planerat, inte infört

• Skriftliga policyer för informationssäkerhet, åtkomst, incidenthantering, ändringshantering, leverantörer och kontinuitet.
• Loggning med lagring och larm för servern.
• Dokumenterade säkerhetskopior av R2 och prov av återställning.
• Automatisk sårbarhetsskanning av beroenden och kod, kontinuerlig integration och årligt penetrationstest.
• En samlad export av organisationens uppgifter i tjänsten.
• SOC 2 Type 1 och därefter SOC 2 Type 2.